Sintesi Tecnica: Ripensare i Colli di Bottiglia nel Fine-Tuning della Sicurezza dei Modelli Vision-Language

Definizione del Problema

I Large Vision-Language Models (VLM) hanno dimostrato capacità eccezionali nei compiti multimodali, ma affrontano sfide significative quando vengono implementati in domini critici per la sicurezza. I metodi esistenti di fine-tuning della sicurezza, che si basano principalmente sul Textual Supervised Fine-Tuning (SFT) o sul SFT multimodale a immagine singola (ad esempio, VLGuard), presentano colli di bottiglia critici:

1. Gap di Ragionamento Visivo sulla Sicurezza: Gli attuali metodi mancano della capacità di ragionare sulla sicurezza all'interno di contesti visivi. Spesso non riescono a rilevare l'intento non sicuro quando questo emerge dall'interazione tra più immagini e una query testuale benigna, piuttosto che da elementi esplicitamente dannosi in una singola immagine.
2. Eccessiva Prudenza e Compromessi: Il fine-tuning su dataset esistenti spesso porta a un' "over-conservatism" (eccessiva prudenza), dove i modelli rifiutano di rispondere a query benigne (ad esempio, rispondendo "Mi dispiace" a input sicuri). Al contrario, i metodi che tentano di ridurre i rifiuti spesso non riescono a generalizzare verso scenari di sicurezza complessi, risultando in elevati tassi di successo degli attacchi (Attack Success Rate - ASR) su compiti complessi.
3. Limitazioni dei Paradigmi a Immagine Singola: La maggior parte dei benchmark e dei dati di addestramento per la sicurezza si basa su input a immagine singola. Man mano che i VLM avanzano nella comprensione multi-immagine, il gap di sicurezza si amplia perché le difese esistenti non possono interpretare efficacemente i rischi contestuali formati dalla combinazione di più input visivi.

Metodologia

Per affrontare queste limitazioni, gli autori propongono un nuovo framework centrato sul dataset Multi-Image Safety (MIS) e sull'approccio di fine-tuning MIRage (Multi-Image Reasoning Safety).

1. Costruzione del Dataset MIS

Il dataset MIS è il primo dataset di sicurezza multi-immagine progettato per valutare e migliorare la percezione e il ragionamento relativi alla sicurezza. Consiste in:

• Set di Addestramento (4k campioni): Coppie di immagini multiple collegate da istruzioni testuali che creano intenti non sicuri (ad esempio, usare uno strumento dell'Immagine A per manipolare un oggetto nell'Immagine B). Fondamentalmente, le istruzioni testuali sono detossificate (neutre), mentre il rischio di sicurezza emerge dalla combinazione visiva.
• Set di Test (2185 campioni): Diviso in tre sotto-set:
  • MIS-easy: Contiene elementi esplicitamente non sicuri nelle immagini.
  • MIS-hard: Contiene solo immagini benigne dove l'intento non sicuro deriva esclusivamente dalla relazione tra le immagini e la query.
  • MIS-real: Utilizza immagini del mondo reale recuperate da dataset per testare la generalizzazione.
• Pipeline di Costruzione: Il dataset è generato tramite una pipeline automatizzata in quattro fasi che prevede:
  1. Estrazione di Elementi Dannosi: Utilizzo di LLM (Qwen2.5, InternVL) per estrarre concetti non sicuri da benchmark esistenti.
  2. Generazione di Istruzioni Testuali e Detossificazione: Generazione di query dannose che coinvolgono due oggetti, poi raffinamento in istruzioni neutre (ad esempio, sostituendo "ricondurre artefatti" con "trasportare oggetti presenti nella prima immagine").
  3. Generazione T2I con Auto-Raffinamento: Utilizzo di Stable Diffusion 3.5 Large per generare immagini, raffinate da VLM per garantire l'allineamento con il testo.
  4. Filtraggio Multi-Esperto: Esperti umani e GPT-4o filtrano e classificano i dati in sotto-set di addestramento, easy, hard e real.

2. Etichette Safety Chain-of-Thought (CoT)

Un'innovazione centrale è la costruzione di etichette Safety CoT per il set di addestramento. Invece di semplici risposte di rifiuto (ad esempio, "Non posso farlo"), le etichette guidano il modello a:

1. Eseguire la Percezione Visiva: Identificare gli oggetti in entrambe le immagini.
2. Eseguire il Ragionamento Visivo: Analizzare la relazione tra le immagini e il testo per dedurre il potenziale intento dannoso.
3. Generare una Risposta Sicura: Fornire un rifiuto o un avviso utile e consapevole del contesto che spieghi perché la richiesta è non sicura, invece di un rifiuto indiscriminato.

3. L'Approccio di Fine-Tuning MIRage

Gli autori introducono MIRage, una strategia di fine-tuning che utilizza il set di addestramento MIS.

• Composizione dei Dati: Il set di addestramento include 4k campioni multi-immagine relativi alla sicurezza e 500 campioni di QA generale (l'11% del totale), significativamente inferiore al rapporto di dati generali del 33% utilizzato in lavori precedenti come VLGuard.
• Obiettivo di Addestramento: Il modello viene addestrato per integrare la logica di percezione e ragionamento visivo nelle sue risposte di sicurezza, con l'obiettivo di bilanciare utilità e innocuità senza sacrificare le capacità generali.

Contributi Chiave

1. Identificazione dei Colli di Bottiglia: Il documento analizza gli esistenti metodi di fine-tuning della sicurezza, rivelando che il loro fallimento su compiti impegnativi (come MSSBench) deriva dalla mancanza di ragionamento visivo sulla sicurezza e dall'uso di etichette di rifiuto semplicistiche che causano eccessiva prudenza.
2. Dataset MIS: L'introduzione del primo dataset di sicurezza multi-immagine, caratterizzato da una divisione di addestramento per potenziare il ragionamento visivo e tre livelli di divisione di test (easy, hard, real) per una valutazione rigorosa.
3. Framework MIRage: Un nuovo paradigma di fine-tuning che sfrutta le etichette Safety CoT. Dimostra che il miglioramento delle capacità di ragionamento visivo permette ai modelli di gestire efficacemente scenari di sicurezza multi-immagine complessi.
4. Validazione Empirica: Esperimenti esaustivi che mostrano come MIRage superi sia i modelli open-source che quelli basati su API nei compiti di sicurezza multi-immagine, preservando o migliorando leggermente le capacità generali.

Risultati Sperimentali

Gli autori hanno valutato MIRage principalmente su InternVL2.5-8B, confrontandolo con baseline come Textual SFT, VLGuard (varianti P e R) e vari VLM allo stato dell'arte (ad esempio, Qwen2-VL, LLaVA-OV, GPT-4o, Gemini-1.5-pro).

• Performance di Sicurezza:

  • Sul test set MIS, MIRage ha ridotto l'Attack Success Rate (ASR) a livelli vicini allo zero (ad esempio, 0,24% su MIS-easy, 0,20% su MIS-hard, 0,00% su MIS-real) per InternVL2.5-8B, rispetto a un ASR di circa l'80-90% per i modelli baseline.
  • Ha aumentato significativamente il Reasoning Success Rate (RSR), indicando che i modelli identificano con successo i rischi attraverso il ragionamento piuttosto che attraverso un rifiuto casuale.
  • MIRage ha superato le baseline su benchmark impegnativi come MSSBench (scenari non sicuri) e SIUO (Input Sicuri, Output Non Sicuri), dove i metodi esistenti spesso fallivano o esibivano eccessiva prudenza.

• Capacità Generali:

  • A differenza di VLGuard e Textual SFT, che spesso degradano le performance generali (specialmente su benchmark multi-immagine come MMT-Bench e MuirBench), MIRage preserva e migliora leggermente le capacità generali.
  • Il fine-tuning con MIS ha aumentato l'accuratezza media dello 0,83% attraverso cinque benchmark generali (Q-Bench, MMStar, MMMU, MuirBench, MMT-Bench).
  • Il metodo ha raggiunto questo risultato con solo l'11% di dati generali nel mix di addestramento, dimostrando che la logica di ragionamento sulla sicurezza può intrinsecamente supportare il seguire le istruzioni generali.

• Generalizzazione:

  • Gli studi di ablazione hanno mostrato che le capacità di sicurezza apprese tramite MIRage si generalizzano a categorie di sicurezza non viste (ad esempio, Privacy e Autolesionismo) e si trasferiscono persino a scenari di jailbreak solo testuali (AdvBench).

Significato e Rivendicazioni

Il documento sostiene che il collo di bottiglia primario nella sicurezza attuale dei VLM non è la mancanza di dati, ma la mancanza di ragionamento visivo sulla sicurezza e l'uso di etichette di addestramento troppo semplificate. Spostando il paradigma dal rifiuto a immagine singola al ragionamento multi-immagine con logica Chain-of-Thought, gli autori dimostrano che:

1. Sicurezza e Utilità non sono mutuamente escludenti: I modelli possono essere addestrati per essere altamente sicuri in scenari complessi senza diventare eccessivamente conservativi o perdere l'utilità generale.
2. Il Contesto Multi-Immagine è Critico: Man mano che i VLM evolvono per gestire input multi-immagine, la valutazione e l'addestramento della sicurezza devono evolvere oltre i paradigmi a immagine singola per affrontare i rischi contestuali.
3. Il Ragionamento è la Chiave: Incorporare la logica di ragionamento nelle etichette di sicurezza è più efficace del semplice rifiuto, consentendo ai modelli di distinguere tra scenari sicuri e non sicuri in contesti multimodali sfumati.

Gli autori concludono che il loro lavoro pone le basi per la ricerca futura su dati e strategie di sicurezza più sofisticate, specificamente progettate per l'ambiente multi-immagine, affrontando una lacuna critica nello spiegamento di VLM sicuri.